Grupo LAPSUS$

O grupo LAPSUS$ (referido como DEV-0357 pela Microsoft) é um coletivo informal de agentes de ameaças não associado a nenhum grupo político ou filosofia específica. A máxima "nenhuma honra entre ladrões" se aplica aos membros do LAPSUS$: eles demonstraram não ser profissionais, mesmo para os padrões de gangues de ransomware, ao não honrarem suas promessas de destruir os dados roubados. Eles também fazem pouco esforço para cobrir seus rastros ou ofuscar suas técnicas.  

No entanto, mesmo um grupo pequeno, caótico e não sofisticado de agentes de ameaças pode comprometer grandes empresas de tecnologia e extorquir grandes somas de dinheiro. Acredita-se que o LAPSUS$ seja de origem sul-americana, com muitos outros membros de Portugal e da América Latina, embora as fileiras do LAPSUS$ se estendam por todo o mundo. 

O LAPSUS$ mantém um perfil público e se comunica regularmente via Telegram e e-mails. Talvez devido à sua natureza aberta ou à falta de uma estratégia técnica eficaz para se ocultarem, o Serviço de Polícia Metropolitana de Londres executou uma operação estratégica de captura de sete indivíduos com idades entre 16 e 21 anos que se acreditava serem membros da LAPSUS$ em março de 2022. Apenas dois indivíduos detidos acabaram sendo acusados, com três acusações de acesso não autorizado a um computador com a intenção de prejudicar a confiabilidade dos dados, uma acusação de fraude por falsa representação e uma acusação de acesso não autorizado a um computador com a intenção de impedir o acesso aos dados. Ironicamente, um grupo por trás de um site de "doxxing" - revelando publicamente informações pessoais ou confidenciais sobre um indivíduo ou organização - forneceu informações que acabaram levando a essas prisões, em retaliação à divulgação de suas informações públicas. No entanto, as prisões não afetaram significativamente as operações do LAPSUS$; o grupo continua a explorar e divulgar publicamente os dados de suas vítimas.

O ransomware LAPSUS$ difere de outras linhagens de ataques baseados em ransomware de alto perfil, como Conti, REvil e LockBit. Enquanto a maioria dos ataques de ransomware emprega malware sofisticado para criptografar arquivos, os ataques do LAPSUS$ envolvem ameaças simples de publicação de dados roubados para coagir os pagamentos, renunciando completamente ao malware tradicional.

O LAPSUS$ obtém acesso aos sistemas-alvo por meio de credenciais roubadas para serviços de área de trabalho remota (RDP), VPN ou serviços em nuvem, como o Microsoft Office 365, e, em seguida, rouba dados confidenciais. Embora os membros da LAPSUS$ possam não implantar malware para atingir seus objetivos, eles importam ferramentas de software de hacking para os sistemas que acessam e estendem manualmente seu acesso inicial pela rede para identificar dados de alto valor e exfiltrá-los.

Para combater a capacidade do LAPSUS$ de aproveitar credenciais roubadas, implemente uma autenticação rigorosa de vários fatores e uma solução avançada de segurança Zero Trust para evitar o uso não autorizado dos recursos da empresa.

Devido à diversidade e à natureza ad-hoc das técnicas do LAPSUS$, nenhum conjunto único de estratégias defensivas ou mitigações poderia combater totalmente a abordagem ofensiva do LAPSUS$. A prevenção eficaz de um ataque bem-sucedido depende de uma abordagem abrangente da segurança cibernética da empresa. Os princípios básicos de segurança de TI, como Defesa em Profundidade, acesso com privilégios mínimos, Prevenção de Perda de Dados, monitoramento 24x7x365, gerenciamento de vulnerabilidades, programas de red-teaming e melhoria contínua das defesas de rede são partes essenciais de um programa de segurança cibernética empresarial.